SecureChain 포털 데이터 처리 부속서

버전 1.0

시행일: 2026년 10월 15일

본 SecureChain 포털 데이터 처리 부속서(“DPA”)는 SecureChain 포털 이용 약관, SecureChain 포털 라이선스 계약, 그리고 TuxCare, Inc. (“TuxCare”)와 SecureChain 포털, 관련 CLI 및 제출 워크플로우(총칭하여 “서비스”)에 대한 주 계약(“주 계약”)을 수락한 TuxCare의 고객(“고객”) 간에 체결된 모든 주문서 또는 기타 서면 또는 전자 계약의 일부를 구성합니다. 본 문서에 정의되지 않은 모든 대문자 용어는 본 계약에 명시된 의미를 가집니다. 본 문서에서 고객과 TuxCare는 각각 “당사자”로, 함께 “당사자들”로 지칭될 수 있습니다.

본 서비스와 관련하여, 양 당사자는 TuxCare가 유럽경제지역(“EEA”), 스위스 및 영국(“UK”) 외부에서, 적용 가능한 데이터 보호법에 따라 고객이 데이터 관리자 또는 데이터 처리자(해당되는 경우)가 될 수 있는 특정 개인정보를 처리할 수 있음을 예상합니다.

당사자들은 관련 데이터 보호 법률에서 요구하는 바에 따라 해당 개인정보의 보호와 관련하여 적절한 보호 조치가 마련되도록 하기 위해 본 DPA를 체결하기로 합의하였습니다.

본 계약에 따라 고객에게 서비스를 제공하는 과정에서, TuxCare는 고객을 대신하여 개인정보를 처리할 수 있습니다. TuxCare는 고객이 TuxCare에 제출하거나 고객을 대신하여 TuxCare에 제출된 모든 개인정보, 또는 고객이 서비스를 이용하여 수집 및 처리하거나 고객을 대신하여 수집 및 처리된 모든 개인정보와 관련하여 다음 조항을 준수할 것에 동의합니다.

1. 정의

“적용 가능한 데이터 보호 법률”이란 전 세계 어디에서든 수시로 시행되는 모든 적용 가능한 데이터 보호, 데이터 개인정보 보호 및 사이버 보안 관련 법률, 규칙 및 규정을 의미하며, 여기에는 다음을 포함하되 이에 국한되지 않습니다. (i) EU 일반 데이터 보호 규정(GDPR) 2016/679, (ii) 2023년 9월 1일부터 시행 중인 2020년 9월 25일자 스위스 연방 데이터 보호법(“FADP”), 및 (iii) 영국의 경우, 2018년 유럽연합(탈퇴)법 제3조 및 2018년 데이터 보호법에 따라 영국 법률의 일부를 구성하는 GDPR을 포함하되 이에 국한되지 않습니다.

“고객 데이터”란 고객 또는 그 사용자가 워크스페이스나 CLI를 통해 서비스에 제출하는 데이터 및 서비스가 이를 바탕으로 도출한 데이터를 의미하며, 이에 대한 자세한 정의는 SecureChain 포털 이용약관 및 SecureChain 포털 라이선스 계약서에 명시되어 있습니다.

“고객 개인 데이터”란 TuxCare가 고객을 대신하여 처리하는 고객 데이터에 포함된 개인 데이터를 의미합니다.

“데이터 개인정보 보호 프레임워크”란 미국 상무부가 운영하는 EU-미국 데이터 개인정보 보호 프레임워크, EU-미국 데이터 개인정보 보호 프레임워크의 영국 확대 적용, 그리고 스위스-미국 데이터 개인정보 보호 프레임워크 자체 인증 프로그램을 의미한다.

“문서화된 지침”은 제2.12조에 정의된 바와 같은 의미를 가집니다.

“GDPR”이란 일반 데이터 보호 규정(개인 데이터 처리와 관련하여 자연인을 보호하고 해당 데이터의 자유로운 이동을 보장하기 위한 2016년 4월 27일자 유럽의회 및 이사회 규정 (EU) 2016/679)을 의미합니다.

“개인정보”란 관련 데이터 보호법에 정의된 바와 같이, 식별되었거나 식별 가능한 자연인과 관련되거나, 해당 자연인을 설명하거나, 특정 자연인과 직접적 또는 간접적으로 연관될 수 있거나 연결될 수 있는 모든 정보를 의미하며, TuxCare가 고객에게 서비스를 제공하는 과정에서 접근, 저장 또는 기타 방식으로 처리하는 정보를 말합니다.

“처리”, “데이터 관리자”, “데이터 주체”, “감독 기관” 및 “데이터 처리자”는 해당 데이터 보호법에 규정된 의미를 가집니다.

“제한된 이전”이란 다음을 의미합니다: (i) GDPR이 적용되는 경우, 서비스를 통해 EEA에서 유럽연합 집행위원회의 적정성 결정을 받지 않은 EEA 외부의 국가 또는 수령인으로, 직접 또는 2차 이전을 통해 개인정보를 이전하는 행위; (ii) 영국 GDPR이 적용되는 경우, 서비스를 통해 영국에서 직접 또는 2차 이전을 통해, 2018년 영국 데이터 보호법 제17A조에 따른 적정성 규정에 근거하지 않은 영국 외의 국가 또는 수령인으로의 개인정보 이전; 그리고 (iii) 스위스에서 서비스를 통해, 직접 또는 2차 이전을 통해, 유럽연합 집행위원회의 적정성 결정을 받지 않은 EEA 및/또는 스위스 외부의 국가 또는 수령인으로 개인 데이터를 이전하는 행위.

“SCC”란 다음을 의미합니다: (i) GDPR이 적용되는 경우, 제3국으로의 개인 데이터 이전에 관한 표준 계약 조항에 관한 2021년 6월 4일자 유럽위원회 이행 결정 2021/914에 부속된 계약 조항(“EU SCCs”); (ii) 영국 GDPR이 적용되는 경우, 채택된 표준 데이터 보호 조항(“영국 SCC”); 및 (iii) 개인 데이터가 스위스에서 스위스 또는 EEA 외부로 이전되는 경우, 스위스 데이터 보호 당국의 지침에 따라 개정된 EU SCC(“스위스 SCC”).

“하위 처리자”란 TuxCare가 서비스 제공과 관련하여 TuxCare를 대신하여 고객의 개인 데이터를 처리하도록 위임한 제3자를 의미하며, 여기에는 해당 하위 처리자가 위임한 제3자도 포함됩니다.

“영국 부속서”란 EU 표준 계약 조항(SCCs)에 대한 ‘국제 데이터 전송 부속서’를 의미하며, 이는 영국 정보위원회(ICO)가 마련한 법적 문서입니다.

“미국 주 개인정보 보호법”이란 미국 내에서 시행 중인 개인정보의 보호 및 처리에 관한 모든 주법을 의미하며, 여기에는 캘리포니아 개인정보 권리법(California Privacy Rights Act)에 의해 개정된 캘리포니아 소비자 개인정보 보호법(California Consumer Privacy Act) 및 그 시행 규정(“CCPA”), 콜로라도 개인정보 보호법, 코네티컷 데이터 개인정보 보호법, 델라웨어 개인정보 보호법 등이 포함될 수 있으나 이에 국한되지 않습니다.

제7조의 목적상, “서비스 제공자”, “처리자”, “판매” 및 “공유”는 미국 주 개인정보 보호법에 규정된 의미를 가집니다.

2. 당사자들의 지위

2.1 본 DPA에 따라 처리되는 개인정보의 유형과 처리의 대상, 기간, 성격 및 목적, 그리고 데이터 주체의 범주는 부속서 1에 명시된 바와 같다.

2.2 각 당사자는 개인정보와 관련하여, 해당 당사자가 적용 가능한 데이터 보호법을 준수할 것(그리고 해당 당사자의 모든 직원이 이를 준수하도록 하고, 하도급 처리자가 이를 준수하도록 하기 위해 상업적으로 합리적인 노력을 기울일 것)을 보증합니다. 당사자 간에, 개인정보의 정확성, 품질 및 적법성, 그리고 고객이 개인정보를 취득한 방식에 대한 전적인 책임은 고객에게 있습니다.

2.3 고객의 개인정보와 관련하여, 양 당사자는 고객이 개인정보 처리자(또는 고객이 다른 개인정보 처리자를 대리하여 행동하는 경우, 개인정보 처리위탁자)이며, TuxCare는 해당되는 바에 따라 개인정보 처리위탁자(또는 재위탁 처리자)임을 인정하고 이에 동의합니다. TuxCare는 본 DPA에 따라야만 고객의 개인정보를 처리해야 합니다.

2.3.1 본 DPA는 TuxCare가 고객의 지시에 따라 처리하는 고객 데이터 내의 개인정보에 적용됩니다. TuxCare는 자체 계정 관리, 접근 보안, 청구 및 비즈니스 커뮤니케이션에 있어 독립적인 처리자로서 역할을 수행합니다. SecureChain 포털 개인정보 처리방침에는 이러한 처리자 처리 활동에 대해 설명되어 있습니다. 계약 체결은 저장소 또는 SBOM에 명시된 모든 개인의 동의를 의미하지는 않습니다.

2.4 고객이 EU에 기반을 둔 데이터 처리자인 경우, 고객은 TuxCare에 대해, TuxCare를 다른 처리자로 지정하고 모든 관련 부속서를 포함한 SCC를 체결하는 것을 포함하여, 개인정보와 관련된 고객의 지시 및 조치가 관련 관리자로부터 승인을 받았음을 보증합니다. 고객이 영국에 기반을 둔 데이터 처리자인 경우, 고객은 TuxCare에 대해, TuxCare를 다른 처리자로 지정하고 영국 부속서(UK Addendum)를 체결하는 것을 포함하여 개인 데이터와 관련된 고객의 지시 및 조치가 관련 관리자의 승인을 받았음을 보증합니다. 고객이 스위스에 기반을 둔 데이터 처리자인 경우, 고객은 TuxCare에 대해, TuxCare를 다른 처리자로 지정하고 스위스 FADP에 따라 국제 데이터 전송에 필요한 SCC를 체결하는 것을 포함하여, 개인정보와 관련된 고객의 지시 및 조치가 관련 관리자의 승인을 받았음을 보증합니다.

2.5 각 당사자는 조직 내에 개인정보와 관련된 문의에 수시로 답변할 권한을 가진 개인정보 보호 책임자를 지정하여야 하며, 당사자들은 상대방 당사자에게 해당 개인정보 보호 책임자를 알려야 하고, 개인정보 보호 책임자는 그러한 문의를 신속히 처리하여야 한다.

2.6 본 계약의 유효 기간 동안, 고객은 TuxCare에 제공된 모든 개인 데이터가 관련 데이터 보호법을 완전히 준수하여 합법적으로 수집 및 전송되었음을 지속적으로 보증합니다. 본 DPA의 유효 기간 동안, 고객은 주계약 및 본 DPA에 따라 TuxCare가 고객 개인정보를 처리함에 있어 적용 가능한 데이터 보호법(동의가 필요한 경우 동의를 포함)에 따른 유효한 법적 근거를 확보하고 유지하며, 관련 데이터 주체로부터 필요한 모든 승인을 획득하고 유지할 전적인 책임을 집니다.

2.7 고객은 TuxCare의 참여 등을 포함하여 개인정보 처리에 관해 개인정보 주체에게 투명하고, 이해하기 쉬우며, 쉽게 접근할 수 있는 방식으로 필요한 모든 정보와 고지 사항을 제공했음을 보증합니다. 여기에는 고객의 직원이 아니면서도 고객 데이터에 개인정보가 포함된 개인(예: 업스트림 패키지 작성자, 공급업체 담당자 및 커밋 작성자 등)이 포함됩니다. 본 제2.7조는 고객이 TuxCare에 제공하거나 이용 가능하게 한 개인정보, 또는 TuxCare에 수집을 지시한 개인정보에만 적용됩니다.

2.8 고객은 TuxCare에 제공한 개인정보가 정확하며, 필요한 경우 최신 상태로 유지된다는 점을 보증합니다. 고객은 데이터의 정확성을 유지하기 위해 필요한 수정 또는 삭제 사항을 TuxCare에 통보해야 합니다.

2.9 고객은 공개되는 개인정보의 범위가 본 DPA에 명시된 처리 목적과 관련하여 적절하고, 관련성이 있으며, 필요한 범위로 제한됨을 보증합니다.

2.10 고객은 TuxCare에 제공하는 개인정보 처리 지침이 항상 합법적이며 관련 개인정보 보호법을 준수할 것임을 보증합니다.

2.11 고객은 서비스 내에서 시행되는 보안 조치가 관련 데이터 보호법에 따른 의무를 이행하기에 충분한지 여부를 판단할 전적인 책임이 있습니다. 또한 고객은 서비스로 전송되거나 서비스에서 전송되는 개인정보의 보호를 포함하여, 서비스의 안전한 사용을 보장할 책임이 있습니다.

2.12 문서화된 지침. 양 당사자는 본 DPA, 주계약, 관련 문서 및 주계약에 따라 고객이 서비스를 이용하고 구성하는 행위가, 고객 개인 데이터 처리에 관한 TuxCare에 대한 고객의 완전한 문서화된 지침을 구성한다는 데 동의합니다. 고객이 워크스페이스에 인벤토리, 종속성 보고서 또는 SBOM을 제출함으로써, 고객은 TuxCare에게 이를 저장하고, 자문 및 카탈로그 데이터와 대조하며, 보존 기간 동안 이후 게시된 자문 사항에 따라 재평가하고, 이전 및 이후 제출 내용과 비교하며, 분석 결과 및 권장 사항을 생성하고, 고객이 구성한 수신처로 경고를 전송하도록 지시하는 것으로 간주됩니다. 계약 기간 중 추가로 제공되는 지침은 주계약 및 서비스의 성격과 일치해야 하며, TuxCare가 이를 서면으로 확인한 시점에 효력이 발생합니다.

3. TUXCARE의 의무

3.1 모든 개인정보와 관련하여, TuxCare는 다음을 이행할 것을 보증합니다:

(a) 서비스 제공을 목적으로만 개인정보를 처리하며, (i) 본 DPA, (ii) 주계약 및 본 DPA에 명시된 고객의 서면 지시, 그리고 (iii) 관련 개인정보 보호법에서 요구하는 바에 따라만 행동해야 합니다;

(b) TuxCare가 문서화된 지시사항이 관련 데이터 보호법을 위반한다고 판단하는 경우, 즉시 고객에게 이를 통지해야 하며, TuxCare는 고객이 해당 지시사항을 확인, 수정 또는 철회할 때까지 그 이행이 중단될 수 있습니다. TuxCare는 고객의 지시사항에 대해 법적 검토를 수행할 의무가 없습니다;

(c) 개인정보 처리로 인해 발생하는 위험에 상응하는 수준의 보안을 보장하기 위해 적절한 기술적 및 조직적 조치를 이행해야 하며, 특히 개인정보의 우발적 또는 불법적인 파기, 분실, 변조, 무단 공개 또는 접근으로부터 보호해야 한다. 이러한 조치에는 SOC 2 Type II 또는 ISO 27001과 같은 인정된 보안 표준에 따라, 그리고 관련 개인정보 보호법에서 요구하는 바에 따라 일반적으로 채택되는 보안 조치가 포함되나, 이에 국한되지 않는다;

(d) 승인된 담당자만이 해당 개인정보에 접근할 수 있도록 하고, 개인정보에 대한 접근 권한을 부여받은 모든 사람이 기밀 유지 의무를 준수하도록 합리적인 조치를 취해야 한다;

(e) TuxCare, 그 하도급 처리자 또는 기타 확인된 또는 미확인된 제3자가 전송, 저장 또는 기타 방식으로 처리한 개인정보의 우발적 또는 불법적인 파기, 분실, 변조, 무단 공개 또는 접근으로 이어지는 보안 침해(“보안 침해”)가 발생한 사실을 인지한 후 지체 없이, 어떠한 경우에도 인지한 시점으로부터 24시간 이내에 고객에게 통지해야 합니다. 초기 통지에는 당시 TuxCare가 합리적으로 파악할 수 있는 사실이 포함되어야 하며, TuxCare는 조사 진행 상황에 따라, 어떠한 경우에도 사실을 인지한 시점으로부터 72시간 이내에 보충 정보를 제공해야 합니다;

(f) 보안 침해와 관련하여 고객에게 신속히 합리적인 협조와 지원을 제공하고, 해당 보안 침해가 고객에게 미치는 영향 범위 내에서 TuxCare가 보유한 해당 보안 침해에 관한 모든 합리적인 정보를 제공해야 하며, 여기에는 당시 알려진 범위 내에서 다음 사항이 포함됩니다: 보안 침해의 가능한 원인과 데이터 주체에게 미칠 수 있는 결과; 관련된 개인정보의 범주; 해당 데이터 주체에게 미칠 수 있는 결과에 대한 요약; 개인정보의 무단 수령자에 대한 요약; 및 TuxCare가 피해를 완화하기 위해 취한 조치;

(g) 관련 데이터 보호법에서 요구하는 경우를 제외하고, 고객의 사전 서면 동의 없이 보안 침해에 관한 어떠한 공개 발표(“침해 공지”)도 하지 않아야 합니다. 단, 이는 TuxCare가 특정 고객이나 고객의 개인 데이터를 식별하지 않는, 다수의 고객에게 영향을 미치는 보안 침해에 관한 일반적인 공지를 게시하는 것을 방해하지 않습니다;

(h) 고객의 데이터 주체로부터 해당 개인의 개인정보에 대한 열람, 정정 또는 삭제 요청을 받거나, 데이터 주체가 해당 개인정보의 처리에 이의를 제기하거나 데이터 이동성을 요청하는 경우(이하 각각 “데이터 주체 요청”이라 함), 즉시 고객에게 통지하여야 합니다. TuxCare는 해당 요청이 고객과 관련이 있음을 확인하는 경우를 제외하고는 고객의 사전 서면 동의 없이는 데이터 주체 요청에 응답하지 않으며, 고객은 이에 동의합니다. 고객이 데이터 주체 요청을 처리할 능력이 없는 경우, 고객의 요청에 따라 TuxCare는 가능한 범위 내에서 및 관련 데이터 보호법에 부합하는 방식으로 해당 데이터 주체 요청을 원활히 처리할 수 있도록 고객에게 합리적인 지원을 제공해야 합니다. 고객이 응답하지 않는 경우, TuxCare는 적절하다고 판단되는 방식으로 데이터 주체 요청에 응답할 수 있습니다. 고객은 TuxCare가 이러한 지원 제공 또는 응답과 관련하여 발생한 모든 합리적인 비용을 부담해야 합니다;

(i) 서비스의 해지, 만료 또는 완료 후, 관련 법률에 따라 보존이 요구되지 않는 한, 고객의 지시에 따라 고객 개인 데이터(사본 포함)를 반환하거나 삭제합니다. 삭제는 부속서 1(h)에 명시된 기간 내에 이루어지며, 백업 사본에서의 삭제는 해당 사본이 TuxCare의 표준 백업 주기에 따라 덮어쓰기될 때까지 지연될 수 있습니다. 해당 기간 동안 TuxCare는 처리를 저장, 보안, 합법적 보존 및 승인된 반환 또는 삭제로 제한합니다. 복원된 백업도 삭제 지침의 적용을 받습니다. 부속서 1에는 보존 관련 조치가 설명되어 있습니다.

(j) 처리의 성격 및 TuxCare가 입수할 수 있는 정보를 고려하여, (i) 데이터 보호 영향 평가, (ii) 적용 가능한 데이터 보호법에 따른 감독 당국에 대한 통지 및/또는 보안 침해 사고 발생 시 고객이 데이터 주체에게 보내는 통지, 그리고 (iii) 처리의 보안과 관련하여 적용 가능한 데이터 보호법에 따른 고객의 의무 준수와 관련하여, 단, 고객은 TuxCare가 이러한 지원을 제공하는 과정에서 발생한 모든 합리적인 비용을 부담해야 합니다;

(k) TuxCare가 직접 또는 TuxCare를 대신하여 개인정보를 저장 및 처리하는 지역 및 국가에 대한 정보를 고객에게 제공해야 합니다;

(l) 관할 감독 당국이 명시적으로 요청한 경우에만 해당 시설의 정확한 주소를 제공하며, 그러한 제공이 적용 가능한 개인정보 보호법에 따른 의무를 이행하는 데 적합한 경우에 한한다;

(m) GDPR 제30조 제2항에 따라 고객을 대신하여 수행된 모든 범주의 처리 활동에 대한 기록을 보관하고, 감독 당국의 요청 시 이를 제공해야 하며; 그리고

(n) 요청이 있을 경우, 관할 감독 당국이 그 임무를 수행하는 데 협력한다.

3.2 TuxCare는 자체적인 목적을 위해 고객의 개인정보를 처리해서는 안 됩니다. TuxCare가 자체적인 목적을 위해 서비스에서 파생된 데이터를 처리하는 경우, 이는 제2.3.1조에 명시된 바와 같이 본 DPA의 적용 범위를 벗어난 처리로 제한되며, SecureChain 포털 개인정보 처리방침에 공개되어 있습니다.

3.3 TuxCare가 공공 기관으로부터 고객 개인정보의 공개를 요구하는 법적 구속력이 있는 요청을 받는 경우, TuxCare는 (a) 가능한 경우 해당 기관을 고객에게 안내하고, (b) 법적으로 금지된 경우가 아닌 한 고객에게 즉시 통지하며, (c) 해당 요청의 적법성을 검토하고, TuxCare에 적용되는 법률에 따라 해당 요청이 불법이라고 판단할 합리적인 근거가 있는 경우 이에 이의를 제기하며, (d) 필요한 최소한의 정보만 공개해야 합니다. TuxCare는 자발적으로 공공 기관에 고객 개인 데이터를 공개하지 않습니다. 본 조항은 해당 처리에 ‘제한적 이전’이 포함되는지 여부와 관계없이 적용됩니다.

4. 하도급

4.1 고객은 TuxCare가 서비스 제공을 위해 하도급 처리자를 고용할 수 있도록 일반적인 서면 승인을 부여합니다. 발효일에 고용된 하도급 처리자는 부속서 3에 명시되어 있으며, 해당 부속서에는 각 하도급 처리자의 명칭, 소재지, 수행하는 처리 업무 및 적용되는 데이터 이전 방식이 기재되어 있습니다. 하도급 처리자는 호스팅, 저장 및 백업, 알림 전달, 모니터링, 지원 도구 제공 및 서비스 제공에 필요한 기타 기능을 수행하기 위한 목적으로만 고용됩니다.

4.2 TuxCare는 제4.4조에 따라 하위 처리자의 추가 또는 교체를 계획할 경우 고객에게 이를 통지하여야 합니다. 고객은 통지를 받은 날로부터 30일 이내에 [email protected]으로 서면 통지를 보내 데이터 보호와 관련된 합리적인 사유를 들어 이의를 제기할 수 있습니다. 당사자들은 해당 이의 제기에 대해 성실히 협의해야 합니다. 고객의 통지일로부터 30일 이내에 당사자들이 이의를 해결하지 못할 경우, 고객은 유일한 구제 수단으로서 해당 구독을 해지하거나 해당 워크스페이스를 삭제할 수 있으며, TuxCare는 구독 기간 중 미사용분에 해당하는 선불 요금을 환불해야 합니다. 고객이 상기 기간 내에 이의를 제기하지 않을 경우, 고객은 하도급 처리자를 승인한 것으로 간주됩니다.

4.3 TuxCare는 각 하위 처리자와 서면 계약을 체결하여, 본 DPA에서 TuxCare에 부과된 것과 동일한 데이터 보호 의무를 해당 하위 처리자에게 부과해야 합니다. 하위 처리자가 데이터 보호 의무를 이행하지 못하는 경우, TuxCare는 해당 하위 처리자의 의무 이행에 대해 고객에 대해 전적인 책임을 집니다. TuxCare는 요청이 있을 경우, 상업적 정보를 삭제한 후 수정된 형태의 하도급 처리자 계약서 중 데이터 보호 조항 사본을 고객에게 제공해야 합니다.

4.4 TuxCare는 하위 처리자가 고객의 개인 데이터를 처리하기 시작하기 최소 30일 전에 해당 하위 처리자의 추가 또는 교체에 대해 통지해야 합니다.

5. 감사 및 기록

5.1 TuxCare는 관련 데이터 보호법에 따라, TuxCare가 고객 개인 데이터를 처리하는 과정에서 관련 데이터 보호법에 따른 데이터 처리자의 의무를 준수하고 있음을 입증하기 위해 고객이 합리적으로 요청할 수 있는, TuxCare가 보유하거나 관리하는 정보를 고객에게 제공해야 합니다.

5.2 고객은 다음의 조건을 충족하는 경우, TuxCare를 통해 고객 개인정보와 관련하여 해당 데이터 보호법에 따른 감사권을 행사할 수 있습니다:

(a) 독립적인 외부 감사인이 작성한, 18개월 이내의 감사 보고서(해당 보고서가 존재하는 경우, TuxCare의 기술적 및 조직적 조치가 충분하며 인정된 업계 감사 기준을 준수함을 입증하는 것) 및 TuxCare의 보안 문서와 고객의 합리적인 보안 설문지에 대한 서면 답변(12개월 기간 내에 1회만 제출 가능);

(b) 감독 당국이 본 DPA에 따라 TuxCare가 수행하는 고객 개인정보 처리와 관련하여 추가 정보를 요청하거나 요구할 경우, TuxCare가 보유하거나 관리하는 추가 정보를 감독 당국에 제공해야 하며; 그리고

(c) 고객이 (a) 및 (b)항에 명시된 자료 이외의 감사를 요구하는 경우, 해당 감사는 12개월 기간 내에 1회 이하로, 합리적인 사전 서면 통지를 거쳐, 정상 업무 시간 중에, TuxCare의 운영에 지장을 주지 않는 방식으로 실시되어야 합니다. 고객은 해당 감사와 관련하여 TuxCare가 부담한 합리적인 비용을 부담해야 합니다.

6. 데이터 전송

6.1 주요 메커니즘 — 데이터 개인정보 보호 프레임워크. TuxCare, Inc.는 데이터 개인정보 보호 프레임워크에 참여하며, 이에 대한 준수 인증을 받았습니다. 해당 인증이 유효하고 해당 개인정보를 포괄하는 한, TuxCare는 데이터 개인정보 보호 프레임워크에 근거하여 유럽경제지역(EEA), 영국 및 스위스에서 미국으로 전송되는 개인정보를 수신하며, 해당 데이터에 대해 데이터 개인정보 보호 프레임워크 원칙에서 요구하는 수준과 최소한 동등한 수준의 보호를 제공할 것입니다.

6.2 대체 메커니즘 — 표준 계약 조항. 데이터 개인정보 보호 프레임워크가 특정 데이터 이전을 적용 대상에서 제외하거나, 유효한 이전 메커니즘으로서의 효력을 상실하거나, 중단·무효화·철회되는 경우, 당사자 중 어느 한쪽의 별도 조치 없이도 EEA에서 이루어지는 제한적 데이터 이전에 EU 표준 계약 조항(SCCs)이 자동으로 적용됩니다. EU 표준 계약 조항은 참조를 통해 본 DPA에 체결 및 포함된 것으로 간주되며, 다음과 같이 작성됩니다:

(a) 고객은 “데이터 수출자”이며, TuxCare는 “데이터 수입자”입니다;

(b) 모듈 2(관리자 대 처리자)는 고객이 고객 개인정보의 관리자이고 TuxCare가 처리자인 경우에 적용됩니다. 모듈 3(처리자 대 처리자)는 고객이 다른 관리자 또는 처리자를 대신하여 활동하는 처리자이고 TuxCare가 하위 처리자인 경우에 적용됩니다;

(c) 제7조에서는 선택적 도킹 조항이 적용된다;

(d) 제9조에서는 옵션 2(일반 서면 승인)가 적용되며, 본 DPA 제4.4조에 명시된 바와 같이 하위 처리자 변경에 대한 사전 통지 기간은 30일입니다;

(e) 제11조에서는 선택적 조항이 적용되지 않는다;

(f) 제13조에 따라, 관할 감독 당국은 해당 조항에 따라 결정된다;

(g) 제17조에서는 제1호 선택안이 적용되며, EU 표준 계약 조항(SCC)은 네덜란드 법의 적용을 받는다;

(h) 제18조(b)항에 따라, 분쟁은 네덜란드 법원에서 해결된다;

(i) EU 표준 계약 조항(SCC)의 부속서 I은 본 DPA의 부속서 1에 명시된 정보로 작성됩니다. 부속서 I.A의 목적상, 데이터 수출자는 주계약 수락 시 또는 주문서에 명시된 고객이며, 데이터 수입자는 TuxCare, Inc. (주소: 20791 Three Oaks Pkwy, #980, Estero, FL 33929, USA,웹사이트: [email protected])입니다. 주계약의 수락은 부속서 I에 대한 서명을 구성합니다.

(j) EU 표준 계약 조항(SCC)의 부속서 II는 제3.1(c)조 및 본 개인정보처리방침(DPA)의 부속서 2로 보완되며; 그리고

(k) EU 표준 계약 조항(SCC)의 부속서 III는 부속서 3에 수록된 하위 처리자 목록으로 보완된다.

6.3 영국. 영국 GDPR의 적용을 받는 개인정보의 이전과 관련하여, EU 표준 계약 조항(SCCs)은 (i) 상기 제6.2조에 따라 작성된 대로 적용되며, (ii) 당사자들이 체결한 것으로 간주되고 본 DPA의 불가분의 일부를 구성하는 ‘영국 부속서’에 명시된 바에 따라 수정된 것으로 간주됩니다. 영국 부속서 제1부의 표 1~3은 본 DPA 및 부속서 1, 그리고 제3.1(c)조 및 제4조에 명시된 정보로 작성된 것으로 간주됩니다. 제1부의 표 4는 “어느 당사자도 아님”을 선택하여 작성된 것으로 간주됩니다. EU 표준 계약 조항(SCC)과 영국 부속서 간에 상충되는 부분이 있는 경우, 영국 부속서 제10조 및 제11조에 따라 해결됩니다.

6.4 스위스. 스위스 FADP의 보호를 받는 개인정보의 이전과 관련하여, EU 표준계약조항(SCC)은 (i) 제6.2조에 따라 보완된 형태로 적용되며, (ii) 다음과 같이 수정된 것으로 간주됩니다. “규정(EU) 2016/679”에 대한 언급은 스위스 FADP에 대한 언급으로 해석됩니다. 제13조에서 관할 감독 당국은 스위스 연방 데이터 보호 및 정보 위원회입니다; 제17조에서 EU 표준계약조항(SCCs)은 스위스 법률의 적용을 받으며, 제18조(b)항에서 분쟁은 스위스 법원에서 해결되며, 회원국에 대한 언급은 스위스를 포함하는 것으로 해석되며, 제18조(c)항에 따라 스위스에 거주하는 데이터 주체는 상주지에서 자신의 권리를 행사하는 데 있어 배제되지 않습니다.

6.5 하위 처리자에 의한 제3자 이전. TuxCare가 EEA, 영국 또는 스위스 외부에 위치한 하위 처리자에게 개인정보를 이전하는 경우, TuxCare는 해당 이전 전에 하위 처리자 자체의 유효한 데이터 개인정보 보호 프레임워크 인증 또는 고객을 위해 체결된 표준 계약 조항(SCC)(해당되는 경우 영국 부속서 또는 스위스 개정안 포함) 중 하나가 유효한 이전 메커니즘으로 마련되어 있는지 사전에 확인해야 합니다. TuxCare는 EU 표준계약조항(SCC) 제14조에 따라 고객 개인정보가 전송되는 EEA, 영국 및 스위스 외 각 국가의 법률 및 관행을 평가하고 지속적으로 검토하며, 요청 시 해당 평가 결과를 요약하여 고객에게 제공합니다.

6.6 SCC에 따른 감사 및 재위탁 처리. 고객은 본 DPA 제5.2조에 명시된 바에 따라, 그리고 해당 조항의 요건을 준수하는 조건 하에, EU SCC 제8.9조에 따른 감사권을 행사할 수 있습니다. TuxCare는 본 DPA 제4조 및 제6.5조에 명시된 바에 따라, 그리고 해당 조항의 요건을 준수하는 조건 하에, 재위탁 처리자를 지정할 수 있습니다.

6.7 대체 전송 방식. TuxCare가 관련 데이터 보호법에 따라 대체 전송 방식을 채택해야 하는 경우, 해당 방식은 관련 데이터 보호법을 준수하는 범위 내에서 위에서 설명한 방식 대신 자동으로 적용되며, 고객은 해당 방식에 법적 효력을 부여하기 위해 합리적으로 필요한 문서 서명 또는 조치를 취하는 데 동의합니다.

7. 미국 주 개인정보 보호법에 따른 추가 규정

7.1 TuxCare가 미국 주 개인정보 보호법의 적용을 받는 개인정보를 처리하는 경우, 다음 조항이 적용됩니다. 고객 개인정보에 미국 주 개인정보 보호법에 따라 보호되는 개인정보가 포함되어 있고, TuxCare가 서비스 제공자 또는 처리자로서 고객을 대신하여 이를 처리하는 범위 내에서, TuxCare는 본 DPA에 명시된 제한적이고 구체적인 목적에 필요한 범위 내에서, 해당 미국 주 개인정보 보호법의 적용 조항을 준수하고 해당 법률에서 요구하는 것과 동일한 수준의 개인정보 보호를 제공하는 등 미국 주 개인정보 보호법에 따라, 그리고 고객의 서면 지시에 따라 해당 고객 개인정보를 처리할 것입니다. TuxCare는 다음을 수행하지 않을 것입니다:

(a) 본 DPA, 주계약에 명시된 제한적이고 구체적인 목적 또는 미국 주 개인정보 보호법에 따라 허용되는 경우를 제외하고, 상업적 목적으로 해당 고객 개인정보를 보유, 사용, 공개하거나 기타 방식으로 처리하는 행위;

(b) 미국 주 개인정보보호법의 의미에서 해당 고객 개인정보를 “판매”하거나 “공유”하는 행위; 또는

(c) 미국 주 개인정보 보호법에 따라 허용된 경우를 제외하고, 고객과의 직접적인 업무 관계 외에서 해당 고객 개인정보를 보유, 사용, 공개 또는 기타 방식으로 처리하거나, 해당 고객 개인정보를 다른 출처로부터 입수한 개인정보와 결합해서는 안 된다.

7.2 TuxCare는 개인정보의 보안을 유지하기 위한 조치를 시행하여, 미국 주 개인정보 보호법의 요건에 부합하는 수준의 개인정보 보호를 보장할 것입니다.

7.3 TuxCare는 고객이 TuxCare가 본 DPA를 준수하고 있는지 확인할 수 있도록 필요한 정보에 대한 합리적인 접근 권한을 제공할 것입니다.

7.4 양 당사자는 양 당사자 간의 개인정보 교환이 본 계약 또는 본 DPA와 관련하여 양 당사자 간에 교환되는 금전적 또는 기타 가치 있는 대가의 일부를 구성하지 않음을 인정하고 이에 동의합니다.

8. 일반 사항

8.1 본 DPA는 주계약에 따른 당사자들의 권리와 의무에 영향을 미치지 않으며, 주계약은 계속해서 완전한 효력을 유지합니다. 본 DPA의 조항과 주계약의 조항 간에 상충이 발생하는 경우, 해당 사안이 개인정보 처리에 관한 한 본 DPA의 조항이 우선합니다.

8.2 본 DPA에 의거하거나 이와 관련하여 TuxCare가 부담하는 책임은 주계약에 명시된 책임 제한 조항의 적용을 받습니다. 본 DPA의 어떠한 조항도 관련 법률에 따라 제한되거나 배제될 수 없는 책임을 제한하거나 배제하지 않습니다.

8.3 본 DPA는 어떠한 제3자 수혜권도 부여하지 않으며, 본 계약의 당사자 및 각 당사자의 허용된 승계인 및 양수인의 이익을 위해서만 체결된 것으로, 그 외의 어떠한 자의 이익을 위한 것이 아니며, 본 계약의 어떠한 조항도 그러한 자에 의해 집행될 수 없다. 단, 본 조항은 SCC에 따라 데이터 주체에게 부여된 제3자 수혜권을 제한하지 않는다.

8.4 본 DPA 및 이와 관련된 모든 조치는, SCC에 달리 규정된 경우를 제외하고, 법 충돌 원칙의 적용을 배제하며 델라웨어주 법률에 따라 규율되고 해석됩니다. 당사자들은 델라웨어주 법원의 인적 관할권 및 재판지에 동의합니다.

8.5 본 DPA는 본 계약의 대상 사항에 관하여 당사자 간의 최종적이고 완전하며 배타적인 합의이며, 해당 대상 사항과 관련하여 당사자 간에 이루어진 모든 이전의 논의 및 합의를 대체하고 통합합니다. 사기적으로 이루어진 진술을 제외하고는, 그 밖의 어떠한 진술이나 조건도 본 DPA에 적용되거나 그 일부를 구성하지 않습니다. 본 DPA에 따른 권리의 수정, 개정 또는 포기는 서면으로 합의된 경우에만 효력을 가지며, 여기에는 본 DPA의 개정판에 대한 고객의 전자적 수락(본 계약과 동일한 방식)이 포함됩니다. 본 DPA는 여러 부로 작성될 수 있으며, 각 부는 원본으로 간주되나, 전체를 합쳐 하나의 동일한 계약을 구성합니다. 본 DPA가 별도로 체결되는 경우, 서명하는 각 당사자는 자신이 본 DPA를 체결하고 교부할 수 있는 정당한 권한과 법적 능력을 갖추고 있음을 진술하고 보증합니다. 각 당사자는 상대방에게 본 DPA의 체결 및 교부와 이에 따른 해당 당사자의 의무 이행이 정당한 권한에 따라 승인되었으며, 본 DPA가 각 당사자에 대해 유효하고 법적으로 구속력 있는 계약으로서 그 조건에 따라 집행 가능함을 진술하고 보증합니다.

본 DPA는 주계약의 일부를 구성하며, 고객은 주계약과 동일한 방식으로 본 DPA를 수락합니다. 본 DPA가 효력을 발생하기 위해 별도의 서명이 필요하지 않습니다. 고객이 본 DPA의 별도로 서명된 사본을 요구하는 경우, TuxCare는 요청에 따라 이를 제공할 것입니다.

부록 1 – 개인정보 및 처리 활동에 관한 세부 사항

(a) 개인정보 처리의 성격은 관련 개인정보 보호법 및 본 계약에서 허용하는 범위 내에서 다음의 규정을 따릅니다:

• 데이터 수신(수집, 열람 및 기록을 포함);
• 데이터의 보관(저장, 정리 및 구조화 포함);
• 데이터를 활용한 분석, 컨설팅 및 테스트 등을 포함하여;
• 데이터 보호(제한 포함);
• 파기 및 삭제를 포함한 데이터 삭제.

(b) 그 목적은 문서화된 지침에 따라 서비스를 제공하는 것입니다. 여기에는 인벤토리 및 원본 제출 자료 저장, 보안 권고 사항 대조, 보관된 스캔 결과를 추후 발표된 보안 권고 사항과 재평가, 스캔 결과 비교, 발견 사항 및 분류 기록 저장이 포함됩니다. 또한 구성된 알림, 승인된 이미지 스캔, 지원, 서비스 보안, 데이터 내보내기 또는 삭제도 포함됩니다. TuxCare는 고객의 별도 승인 없이는 비공개 고객 데이터를 공개하거나 판매하지 않으며, 이를 광고에 사용하거나 범용 AI 모델 훈련에 활용하지 않습니다.

(c) 고객의 개인정보에는 고객이 이를 제출하거나 TuxCare에 수집을 지시하는 범위 내에서 다음 사항이 포함될 수 있습니다:

• 저장소 URL, 브랜치 이름, 커밋 메타데이터, 프로젝트 레이블, 패키지 좌표 및 상대 경로에 포함된 식별자.
• SBOM의 작성자, 공급업체, 라이선스 정보, 주석 또는 추가 문서 필드 내에 포함된 이름, 업무 연락처 정보 및 기타 식별 정보.
• 고객이 제출한 내용과 관련된 소스 IP 주소 및 계정, 스캔 또는 통합 식별자.
• 진단 결과, 분류 기록, 통지 대상, 지원 요청 또는 요청된 진단 정보에 포함된 개인 데이터.
• 고객이 레지스트리 스캔 또는 통합을 위해 지정된 제어 수단을 통해 제공하는, 특정 개인과 관련된 인증 정보.
• 워크스페이스 사용자 데이터: 서비스 내에서 고객에게 제공되는 범위 내에서, 고객의 승인된 사용자에 대한 이메일 주소, ID 제공자 계정 식별자, 역할, 소속 부서, 마지막 로그인 시간 및 이용약관 수락 시간, 감사 로그 항목(이메일 및 네트워크 주소 포함).
• 커밋 메타데이터나 SBOM에 포함된 경우, 커밋 작성자 및 커미터의 이름과 이메일 주소를 기록합니다.
• 승인된 레지스트리 스캔을 위해 컨테이너 이미지 콘텐츠가 검색되었습니다. TuxCare는 인벤토리(SBOM)를 생성하기 위한 목적으로만 해당 이미지를 임시 저장소에 보관하며, 스캔이 완료되면 이를 삭제합니다. TuxCare는 인벤토리를 워크스페이스 데이터와 함께 보관하며, (h)항에 따라 이를 삭제합니다.
• 고객사의 관리자가 워크스페이스에 초대한 사람들의 이메일 주소.

패키지 이름, 버전, 그래프, 해시, 이미지 다이제스트 및 운영 체제 데이터는 기술적 데이터에 해당합니다. 이러한 정보는 특정 개인과 연결될 경우 개인정보가 될 수 있습니다. 포털은 분석에 사용하지 않는 필드를 포함하여 제출된 문서 전체를 보관할 수 있습니다. 일반적인 의존성 제출 시에는 소스 코드, 민감한 개인정보, 비밀번호 또는 개인 키를 제출할 필요가 없습니다.

(d) 처리 작업은 고객의 지시에 따라 서비스를 제공하는 데 필요한 기간 동안 계속됩니다. 해당 기간이 지난 후의 반환 및 삭제는 제3.1조(i)항 및 (h)항에 따릅니다.

(e) 전송되는 민감 정보: 양 당사자는 민감 정보의 전송이 있을 것으로 예상하지 않습니다.

(f) 데이터 주체에는 고객의 직원, 계약자, 관리자 및 서비스 제공업체 담당자가 포함될 수 있습니다. 또한 저자, 공급업체 및 고객이 제출한 문서에 우연히 식별 정보가 기재된 기타 사람들도 포함될 수 있습니다. 고객은 해당 데이터에 대한 통지, 합법적인 지시 및 데이터 제공 권한에 대한 책임을 계속 부담합니다.

(g) 개인정보는 다음 지역 및 국가에서 저장 및 처리됩니다:

• 서버 및 데이터베이스 호스팅 — Hetzner Online GmbH, 독일 팔켄슈타인 (EU);
• 백업 및 아카이브 — Hetzner Online GmbH(독일(EU)) 및 Amazon Web Services, Inc.(미국);
• DNS 및 Workspace 이메일 전송 — Cloudflare, Inc., 미국;
• TuxCare 직원이 사용하는 업무용 이메일 및 문서 저장 서비스 — Google LLC, 미국.

각 제공업체별 이전 절차는 부록 3에 명시되어 있습니다. TuxCare는 제3.1(k)조 및 제4.4조에 따라 본 항에 열거된 지역 및 국가에 변경 사항이 발생할 경우 고객에게 통지할 것입니다.

(h) 처리 기간 및 보존. TuxCare는 본 계약의 유효 기간 동안 및 제3.1(i)조에 따라 고객 개인 데이터를 반환하거나 삭제하는 데 필요한 기간 동안 해당 데이터를 처리합니다. 고객은 서비스에 제공된 제어 기능을 통해 언제든지 워크스페이스를 삭제할 수 있으며, 이 경우 워크스페이스는 즉시 중단되고, 삭제 후 30일 후에 해당 데이터가 활성 데이터베이스에서 영구적으로 제거됩니다. 서비스는 리포지토리당 제한된 수의 스캔을 보관하며, 오래된 스캔은 자동으로 삭제됩니다. 오래된 스캔이 삭제된 후에도 검색 기록은 남아 있을 수 있습니다. 활동이 없는 무료 워크스페이스는 폐기될 수 있습니다. TuxCare는 약 12개월 동안 활동이 없을 경우 고객에게 통지하고, 약 13개월 후에는 워크스페이스를 일시 정지하며, 약 15개월 후에는 이를 삭제할 수 있으며, 삭제 전에 고객에게 워크스페이스 데이터의 아카이브 내보내기 파일을 제공합니다. 복원된 백업은 여전히 고객의 삭제 지시에 따릅니다. TuxCare는 이러한 모든 사본에 제3.1(i)조를 적용합니다. 아카이브는 관련 없는 목적으로 고객 개인 데이터를 보유할 권리를 부여하지 않습니다. 관련 법률에 따라 요구되는 보존은 여전히 접근 제한 및 목적 제한의 적용을 받습니다.

부록 2 – 기술적 및 조직적 조치

본 부록은 해당 호스팅 서비스에 적용되는 통제 조치를 설명합니다. 이는 제3.1(c)항 및 SCC 부록 II의 정보를 보완합니다. 별도의 서면 보안 부칙은 해당 범위 내에서 더 강력한 약속 사항을 규정합니다.

• 이 호스팅 서비스는 고객 트래픽에 HTTPS를 사용하고, 브라우저 접속 시 보안 세션 쿠키를 활용합니다.
• 워크스페이스 ID 및 권한 부여를 통해 선택한 계정에 대한 액세스가 제한됩니다. 지원되는 역할, 부서 및 토큰 범위에 따라 허용되는 작업과 저장소가 제한됩니다.
• 호스팅된 애플리케이션은 데이터베이스 컨트롤을 사용하여 테넌트의 액세스를 제한합니다. 특권 서비스와 운영자의 액세스 권한은 별도로 설정되어 있습니다.
• 이 서비스는 인증된 암호화를 통해 레지스트리 및 ID 제공자의 비밀 정보를 보호합니다. 이 문장은 모든 데이터베이스 필드가 암호화됨을 의미하지는 않습니다.
• 이 서비스는 보안 및 조사를 지원하기 위해 계정 활동과 운영 접근 이벤트를 기록합니다.
• 인테이크는 스캔을 저장하기 전에 지원되는 문서 형식, 인증, 본문 크기 및 관련 토큰 범위를 확인합니다.
• TuxCare는 제3.1(d)조에 따라 직원의 접근을 제한하고 기밀 유지 의무를 부과합니다.
• TuxCare 지원 담당자는 워크스페이스의 읽기 전용 보기를 통해 지원을 제공합니다.
• 백업, 복구, 데이터 삭제 및 사고 대응은 통지된 서비스 약관 및 본 DPA에 따라 수행됩니다.

이러한 조치들은 SecureChain 포털이 특정 인증을 보유하고 있음을 주장하는 것이 아닙니다. 또한 이는 제3.1(e)항에 명시된 침해 통지 의무나 해당 SCC에 규정된 권리를 변경하지 않습니다.

부록 3 – 하위 처리자 목록

TuxCare는 다음과 같은 하위 처리업체를 활용합니다. 각 하위 처리업체에 적용되는 데이터 이전 방식은 표에 명시되어 있습니다. 제4.4조에 따라 추가되는 모든 하위 처리업체는 해당 데이터 이전 방식과 함께 여기에 기재됩니다.

하위 처리자	위치	보안 인증	처리 목적	전송 메커니즘
Hetzner Online GmbH	팔켄슈타인, 독일	ISO 27001	서버 및 데이터베이스 호스팅 백업	필요 없음 (EEA)
아마존 웹 서비스(Amazon Web Services, Inc.)	미국 북부 버지니아와 오하이오	ISO 27001 SOC 2 유형 2	백업 및 아카이브 스토리지	데이터 개인정보 보호 프레임워크; 대체 수단으로서의 표준 계약 조항(SCCs)(제6.5조)
Cloudflare, Inc.	미국 (글로벌 네트워크)	ISO 27001 SOC 2 유형 2	서비스 도메인의 DNS Workspace 이메일(Cloudflare 이메일 서비스) 전송	데이터 개인정보 보호 프레임워크; 대체 수단으로서의 표준 계약 조항(SCCs)(제6.5조)
Google LLC	미국	ISO 27001 SOC 2 유형 2	예를 들어, TuxCare 직원이 지원 관련 서신 교환 등에 사용하는 업무용 이메일 및 문서 저장소(Google Workspace)	데이터 개인정보 보호 프레임워크; 대체 수단으로서의 표준 계약 조항(SCCs)(제6.5조)